Sự Trở Lại Của Nhóm Hacker Lazarus: Một Mối Đe Dọa Lớn Cho Ngành Crypto

Sự Trở Lại Của Nhóm Hacker Lazarus: Một Mối Đe Dọa Lớn Cho Ngành Crypto

Ngày 21 tháng 2 năm 2025, vụ tấn công vào sàn giao dịch crypto Bybit một lần nữa làm nổi bật tên tuổi của nhóm hacker nổi tiếng Lazarus, được biết đến với những cuộc tấn công nghiêm trọng nhằm vào các doanh nghiệp crypto. Theo công ty phân tích blockchain Elliptic, kể từ năm 2017, nhóm Lazarus đã ăn cắp khoảng 6 tỷ đô la từ ngành công nghiệp này, không có gì ngạc nhiên khi họ được gọi là siêu phản diện trong thế giới crypto.

Key Takeaways

Nhóm Lazarus là một đội hacker có sự hỗ trợ của chính phủ Triều Tiên, chịu trách nhiệm cho những vụ trộm hàng tỷ đô la từ ngành công nghiệp crypto.
Nhóm này sử dụng phần mềm độc hại riêng, lỗ hổng zero-day và các chiến dịch lừa đảo để xâm nhập vào các tổ chức tài chính, sàn giao dịch crypto và các cơ quan chính phủ.
Một số vụ tấn công đáng chú ý bao gồm vụ hack $1.5 tỷ tại Bybit (2025), vụ xâm nhập cầu Ronin trị giá $625 triệu (2022) và vụ hack Bangladesh Bank trị giá $101 triệu (2016).
Nhóm sử dụng các thủ thuật đối phó, backdoor, kỹ thuật chống điều tra và công cụ xóa để che giấu dấu vết và duy trì quyền truy cập lâu dài vào các mạng đã bị xâm phạm.

Ngày 21 tháng 2 năm 2025, vụ tấn công vào sàn giao dịch crypto Bybit một lần nữa làm nổi bật tên tuổi của nhóm hacker nổi tiếng Lazarus, được biết đến với những cuộc tấn công nghiêm trọng nhằm vào các doanh nghiệp crypto. Theo công ty phân tích blockchain Elliptic, kể từ năm 2017, nhóm Lazarus đã ăn cắp khoảng 6 tỷ đô la từ ngành công nghiệp này, không có gì ngạc nhiên khi họ được gọi là siêu phản diện trong thế giới crypto.

Nhóm Lazarus, với tài năng tội phạm mạng xuất sắc, sử dụng những chiến thuật hacking tinh vi, cho thấy có sự hỗ trợ hoàn toàn từ chính phủ. Điều này đặt ra nhiều câu hỏi quan trọng về cách nhóm này thực hiện các cuộc tấn công phức tạp như vụ Bybit và các cuộc tấn công tương tự, cũng như cách mà các tổ chức crypto có thể chống lại mối đe dọa ngày càng gia tăng này.

Nguồn gốc và bối cảnh của nhóm Lazarus

Nhóm Lazarus có nguồn gốc từ Cộng hòa Dân chủ Nhân dân Triều Tiên (DPRK), nổi bật với hoạt động gián điệp mạng và trộm cắp tài sản. Hoạt động từ năm 2009, nhóm này có liên hệ với Cơ quan Tổng cục Tình báo (RGB) của Triều Tiên, cơ quan tình báo chính của quốc gia. Nhóm này được biết đến với việc thực hiện các cuộc tấn công đa nền tảng tinh vi nhằm vào các tổ chức tài chính, sàn giao dịch crypto, các đầu mối hệ thống SWIFT, cũng như các sòng bạc và ATM trên toàn thế giới.

Mối liên quan với cơ quan tình báo quốc gia cho thấy sự tài trợ từ nhà nước cho nhóm này. Điều này cho phép các hacker hoạt động mà không sợ bị truy xét bởi lực lượng pháp luật địa phương. Mục đích hoạt động của nhóm không chỉ là thu thập thông tin mà còn là tạo ra quỹ cho các chương trình tên lửa và hạt nhân của đất nước.

Cục Điều tra Liên bang Mỹ (FBI) đã gọi nhóm Lazarus là một "tổ chức hacker được nhà nước Triều Tiên tài trợ". Kim Kuk-song, một người đào tẩu khỏi Triều Tiên, đã tiết lộ rằng nhóm này được biết đến nội bộ với tên gọi Văn phòng Liaison 414.

Chú thích ngữ cảnh

Sự gia tăng các cuộc tấn công quy mô lớn như vụ Bybit đang đặt ra thách thức lớn cho người tham gia thị trường crypto. Các mối đe dọa từ các tổ chức tội phạm công nghệ cao như Lazarus khiến nhiều nhà đầu tư phải cảnh giác hơn, đặc biệt là khi ngành công nghiệp này ngày càng phát triển.

Cách thức hoạt động của nhóm Lazarus

Với sự hỗ trợ của nhà nước, nhóm Lazarus có đủ nguồn lực và chuyên môn để thực hiện các cuộc tấn công mạng phức tạp. Họ thực hiện các hoạt động đa lớp, bao gồm cả việc phát triển và triển khai phần mềm độc hại tùy chỉnh và khai thác lỗ hổng zero-day.

Một trong những đặc điểm nổi bật của nhóm là việc tạo ra phần mềm độc hại chuyên dụng như MagicRAT và QuiteRAT, được thiết kế để xâm nhập và kiểm soát các hệ thống mục tiêu. Họ cũng thường tận dụng các lỗ hổng bảo mật chưa được biết đến để xâm nhập vào các hệ thống trước khi các bản vá được phát hành.

Kỹ thuật kỹ nghệ xã hội cũng là một phần quan trọng trong chiến lược của họ. Kỹ thuật này liên quan đến việc lừa đảo sử dụng cảm xúc để đánh lừa người dùng thực hiện một hành động nào đó, chẳng hạn như chia sẻ thông tin quan trọng. Nhóm Lazarus thực hiện các chiến dịch lừa đảo có mục tiêu, gửi các email giả mạo đến những người dùng không nghi ngờ, mạo danh các mạng lưới để thuyết phục họ tiết lộ thông tin bảo mật.

Khả năng thích ứng và phát triển kỹ thuật của nhóm Lazarus khiến họ trở thành một mối đe dọa không thể xem nhẹ trong lĩnh vực an ninh mạng toàn cầu.

Biểu đồ hoạt động của nhóm Lazarus

Các vụ trộm cắp lớn nhất của nhóm Lazarus

Đã có nhiều cuộc tấn công mạng diễn ra liên quan đến nhóm Lazarus. Dưới đây là một số vụ trộm lớn do nhóm này thực hiện:

Vào tháng 2 năm 2025, Bybit, một sàn giao dịch crypto có trụ sở tại Dubai, đã bị tấn công an ninh nghiêm trọng, mất đi 1.5 tỷ đô la tài sản số, trở thành vụ hack crypto lớn nhất từ trước đến nay.

Cuộc tấn công đã nhắm vào giao diện SafeWallet mà các giám đốc Bybit sử dụng để thực hiện các giao dịch gian lận. Các quỹ bị đánh cắp, chủ yếu là Ether, đã nhanh chóng được phân tán qua nhiều ví và thanh lý qua các nền tảng khác nhau. Giám đốc điều hành Bybit, Ben Zhou, đã trấn an người dùng rằng các ví lạnh còn lại vẫn an toàn và các giao dịch rút vẫn hoạt động bình thường.

Các công ty phân tích blockchain, bao gồm Elliptic và Arkham Intelligence, đã theo dõi các tài sản bị đánh cắp và sau đó quy kết cuộc tấn công này cho nhóm Lazarus được nhà nước Triều Tiên hỗ trợ. Vụ vi phạm đã kích hoạt một làn sóng rút vốn từ Bybit, buộc sàn giao dịch phải bảo lãnh một khoản vay cầu để bù đắp khoản thua lỗ.

Chỉ riêng vụ hack Bybit đã vượt qua toàn bộ số tiền trộm cắp crypto của Triều Tiên trong năm 2024

Kết luận

Với sự gia tăng của các cuộc tấn công từ nhóm Lazarus, các tổ chức crypto như Bybit cần tạo dựng các biện pháp bảo vệ mạnh mẽ cho cơ sở hạ tầng của mình. Trong khi công chúng ngày càng chú ý đến an ninh của các nền tảng giao dịch, thì mối đe dọa từ nhóm này vẫn đang tiếp tục phát triển, tạo áp lực buộc ngành công nghiệp này phải thích ứng và nâng cao khả năng phòng ngừa.